Zásady ochrany soukromí

§1. Úvod a údaje o Správci

1. Tyto Zásady ochrany soukromí stanovují pravidla zpracování osobních údajů společností CYBERMONKEY SP. Z O.O. se sídlem ve Varšavě, na adrese: al. Jana Pawła II 43A/37B, 01-001 Warszawa, Polsko, zapsanou v Rejstříku podnikatelů Národního soudního rejstříku vedeném Sąd Rejonowy dla m.st. Warszawy w Warszawie, XII Wydział Gospodarczy Krajowego Rejestru Sądowego, pod číslem KRS: 0000911855, NIP: 7441827778, REGON: 389514743, se základním kapitálem 5 000,00 zł (dále jen: „Správce“), v souvislosti s využíváním služeb nabízených na internetovém portálu mchost.pl (dále jen: „Portál“) ze strany Uživatelů.

2. Správce dbá o ochranu soukromí Uživatelů Portálu a přijímá nezbytná opatření k zajištění bezpečnosti osobních údajů. Činnosti Správce jsou v souladu s platnými předpisy unijního a vnitrostátního práva, zejména s nařízením Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016 (dále jen: „RODO“), se zákonem ze dne 10. května 2018 o ochraně osobních údajů – ustawa z dnia 10 maja 2018 r. o ochronie danych osobowych (dále jen: „Zákon“) a se zákonem ze dne 12. července 2024 - Právo elektronických komunikací – ustawa z dnia 12 lipca 2024 r. - Prawo komunikacji elektronicznej (dále jen: „PKE“).

3. Správce nejmenoval pověřence pro ochranu osobních údajů. Ve věcech souvisejících se zpracováním údajů nás prosím kontaktujte na e-mailové adrese: [email protected] nebo písemně na adrese sídla Společnosti.

§2. Definice

Pojmy použité v Zásadách znamenají:

1. Správce - CYBERMONKEY SP. Z O.O., uvedená v §1.

2. Portál - internetový portál dostupný na adrese https://mchost.pl.

3. Uživatel - každá fyzická osoba využívající Portál bez ohledu na to, zda má Účet klienta ve smyslu Podmínek.

4. Klient - Uživatel, který uzavřel se Správcem smlouvu o poskytování Služeb za podmínek stanovených v Podmínkách.

5. Hráč - třetí osoba připojující se k hernímu serveru hostovanému Klientem v rámci Služby; ve vztahu k osobním údajům Hráčů je Správcem Klient a Správce vystupuje jako zpracovatel.

6. Služba - služba poskytovaná elektronickou cestou Správcem ve prospěch Klienta, zejména hosting herního serveru, za podmínek stanovených v Podmínkách.

7. Podmínky - Podmínky poskytování služeb dostupné na Portálu.

8. Ostatní pojmy mají význam, který je jim přisouzen v RODO, PKE a v Podmínkách.

§3. Rozsah působnosti Zásad

1. Tyto Zásady se týkají osobních údajů zpracovávaných Správcem jako správcem údajů v souvislosti s provozováním Portálu a poskytováním Služeb ve prospěch Klientů (kontaktní a fakturační údaje, údaje Účtu klienta).

2. V rozsahu osobních údajů Hráčů připojujících se k serveru Klienta (zejména IP adres, identifikátorů, logů, statistik aktivity) je správcem těchto údajů Klient (vlastník serveru) a Správce vystupuje jako zpracovatel (procesor) na základě smlouvy o pověření zpracováním osobních údajů (DPA - Data Processing Agreement).

   Výjimka - domácí varianta: Pokud Klient prohlásí, že server je určen výhradně pro spřátelené osoby bez komerčních účelů (soukromá domácí varianta) a nebude shromažďovat údaje Hráčů, Zásady v rozsahu RODO se na Hráče nevztahují. V takové variantě:

   • Klient může využít výjimku z bodu 18 odůvodnění RODO (osobní či domácí činnosti),
   • ale Správce je i nadále povinen zajistit bezpečnost infrastruktury a schopnost podporovat práva subjektů údajů, pokud budou údaje fakticky shromažďovány.

   Role Zpracovatele bez ohledu na variantu: Správce je povinen (na základě čl. 28 RODO a DPA):

   • jednat výhradně na pokyn Správce,
   • zajistit opatření podle čl. 32 RODO (šifrování, monitorování, záložní kopie),
   • oznámit Správci každé zjištěné porušení zabezpečení údajů bez zbytečného odkladu (nejpozději do 48 hodin),
   • podporovat práva subjektů údajů (přístup, výmaz, přenositelnost údajů),
   • vést záznamy o kategoriích činností zpracování,
   • umožnit audit a kontrolu Správce (bez omezení práva veta a bez limitu jednoho auditu za 12 měsíců),
   • dodržovat pravidla pro podzpracovatele (vyžadovat smlouvu se stejnými povinnostmi podle čl. 28 odst. 4 RODO),
   • po ukončení Služby: vrátit nebo vymazat všechny údaje (včetně záložních kopií), nebo provádět uchovávání (retenci) výhradně na základě práva.

   Podrobné podmínky stanoví Příloha č. 2 Podmínek (DPA).

3. Hráči, jejichž údaje jsou zpracovávány v rámci serveru Klienta, se mohou domáhat svých práv přímo u Klienta jako správce jejich údajů. Správce neodpovídá za plnění informačních povinností Klienta vůči Hráčům.

4. Služby zaměřené na děti a souhlas zástupce:

   • a) v závislosti na tržním cílení může být Služba dostupná dětem mladším 16 let (Polsko, Německo, Nizozemsko, Švédsko) nebo 14 let (Španělsko), v souladu s čl. 8 RODO a vnitrostátními předpisy,
   • b) pokud je konkrétní zpracování založeno na souhlasu dítěte (čl. 6 odst. 1 písm. a RODO) a dítě nedosáhlo věku příslušného pro svůj členský stát, Správce vyžaduje souhlas nositele rodičovské odpovědnosti (rodič, opatrovník),
   • c) Správce neshromažďuje automaticky datum narození Uživatele, avšak může požádat o prohlášení o věku nebo o věk Uživatele na žádost, a nebude standardně nabízet marketingové nebo telemetrické služby bez předchozího ověření a souhlasu zástupce,
   • d) Správce nezakládá omezení smluvní způsobilosti na věkové hranici podle čl. 8 RODO; věk pro udělení souhlasu s daným zpracováním je oddělený od způsobilosti k uzavření Smlouvy, která se řídí vnitrostátním právem (např. občanským zákoníkem – Kodeks cywilny),
   • e) pokud je Služba zaměřena na děti, informace budou poskytnuty v jazyce, formátu a obsahu srozumitelném pro dítě, se samostatnou, standardně nezaškrtnutou možností pro každý souhlas s marketingem nebo analytikou, s postupem pro udělení souhlasu zástupcem (např. prostřednictvím e-mailu s ověřovacím kódem), a požadavek na souhlas zástupce bude výslovně uveden před dokončením.

§4. Druhy zpracovávaných osobních údajů

Správce zpracovává následující kategorie osobních údajů Uživatelů Portálu:

1. Identifikační a kontaktní údaje (např. jméno a příjmení, uživatelské jméno Uživatele, e-mailová adresa, telefonní číslo - v případě ověření).

2. Fakturační údaje (např. fakturační údaje, fakturační adresa, DIČ EU (VAT UE), země fakturace, identifikátor transakce, měna a částka objednávky).

3. Údaje týkající se využívání Portálu: IP adresa, informace o prohlížeči a systému (User-Agent), technické údaje zařízení a informace obsažené v souborech cookies a v místním úložišti prohlížeče (localStorage).

4. Údaje z přihlášení prostřednictvím externích poskytovatelů identity (Google, Discord, Microsoft), pokud Uživatel zvolí tento způsob přihlášení: identifikátor Uživatele u poskytovatele, e-mailová adresa, jméno (přezdívka) a - pokud jej poskytovatel zpřístupňuje - avatar.

5. Údaje obsažené v servisních hlášeních a v korespondenci adresované Správci, včetně obsahu zpráv vyměňovaných s asistentem založeným na umělé inteligenci a příloh přidaných Uživatelem.

6. Údaje týkající se autentizace a bezpečnosti Účtu klienta: informace o relacích, přístupové tokeny, nastavení dvoufaktorové autentizace (2FA), informace o přihlášeních.

7. Údaje související se Službou: identifikátory objednaných Služeb a herních serverů, konfigurační parametry a soubory umístěné Klientem na herním serveru.

8. Správce v současnosti neshromažďuje údaje o aktivitě Uživatele na Portálu (jako jsou kliknutí, navigační cesta či doba strávená na stránce) ani údaje o přibližné poloze. Tyto údaje by mohly být shromažďovány výhradně po spuštění analytických nástrojů uvedených v §5 odst. 5 a výhradně na základě souhlasu Uživatele.

§5. Účely a právní základy zpracování

1. Poskytování Služeb dostupných na Portálu - čl. 6 odst. 1 písm. b RODO (plnění smlouvy).

2. Vyřizování dotazů a žádostí podávaných prostřednictvím kontaktních formulářů - čl. 6 odst. 1 písm. b a písm. f RODO.

3. Zajištění bezpečnosti údajů a kontinuity provozu Portálu, včetně předcházení zneužití - čl. 6 odst. 1 písm. f RODO (oprávněný zájem Správce).

   Základ a posouzení vyváženosti: Správce provedl posouzení vyváženosti zájmů ve smyslu čl. 6 odst. 1 písm. f RODO. Zájem MCHost na předcházení registračním podvodům, útokům, zneužívání Služby a narušením bezpečnosti infrastruktury byl vyhodnocen jako oprávněný a nepřiměřeně nezasahující do práv Uživatele, zejména s ohledem na to, že zpracování je dočasné (při registraci) a může být na žádost Uživatele přezkoumáno člověkem.

   Údaje a příjemci: Při zakládání Účtu klienta Správce předává:

   • e-mailovou adresu externímu poskytovateli hodnocení rizik (AbuseHub) za účelem identifikace dočasných adres,
   • IP adresu za účelem identifikace známých zdrojů útoků, proxy, VPN a geografického nesouladu.

   AbuseHub je Zpracovatelem (zpracovatelským subjektem) na základě smlouvy o pověření zpracováním uzavřené Správcem.

   Výsledek a lidský zásah: V případě vysokého skóre hodnocení je registrace dočasně zamítnuta. Uživatel obdrží vysvětlení důvodu (např. „dočasná e-mailová adresa“ nebo „IP ze sítě VPN“) a může:

   • obnovit registraci z jiné adresy nebo sítě,
   • vznést námitku a žádost o přezkum pracovníkem (viz §11 odst. 7),
   • kontaktovat Správce na adrese: [email protected].

   Cloudflare Inc. je využíván k ochraně Portálu před útoky a k ověřování provozu (Cloudflare Turnstile, ochrana anti-DDoS) - nástroj typu cookieless v rozsahu bezpečnostních funkcí.

4. Marketingové aktivity:

   • a) přímý marketing (zasílání propagačních nabídek, obchodních sdělení) - čl. 6 odst. 1 písm. a RODO (souhlas),
   • b) informace o aktualizacích produktu - klasifikované podle skutečného obsahu zprávy:
     • pokud obsahují výhradně informace o změnách Služby a neobsahují propagaci - zakládají se na čl. 6 odst. 1 písm. b RODO (Smlouva),
     • pokud obsahují propagační materiály - jsou klasifikovány jako přímý marketing (souhlas, čl. 6 odst. 1 písm. a RODO),
   • c) oznámení o vyúčtování a bezpečnosti - čl. 6 odst. 1 písm. b RODO (Smlouva, nevyžadují souhlas).

5. Analýza provozu na Portálu - analytické nástroje nejsou v současnosti spuštěny. Správce plánuje zavedení takových nástrojů; k jejich spuštění dojde výhradně po vyjádření souhlasu Uživatelem v cookie liště a po aktualizaci těchto Zásad. Po spuštění bude základem zpracování: v rozsahu nástrojů využívajících cookies (např. Google Analytics) - čl. 6 odst. 1 písm. a RODO (souhlas) a čl. 400 PKE (souhlas s ukládáním informací v koncovém zařízení); v rozsahu nástrojů typu cookieless neshromažďujících osobní údaje (např. Cloudflare Web Analytics) - čl. 6 odst. 1 písm. f RODO (oprávněný zájem - měření výkonnosti Portálu).

6. Vyřizování servisních hlášení s využitím AI asistenta - obsah servisních hlášení a zpráv Uživatele je předáván externí mikroslužbě založené na umělé inteligenci, která připravuje návrhy odpovědí. Automaticky vygenerované odpovědi mohou být v hlášení zveřejněny bez účasti člověka a jsou označovány jako automaticky vygenerované. Uživatel může kdykoli požádat o vyřízení hlášení pracovníkem Správce.

   Toto zpracování nepředstavuje rozhodnutí založené výhradně na automatizovaném zpracování ve smyslu čl. 22 RODO.

   Základ: čl. 6 odst. 1 písm. b RODO (plnění smlouvy) a čl. 6 odst. 1 písm. f RODO (oprávněný zájem - efektivní vyřizování hlášení).

7. Ověření čísla DIČ EU (VAT UE) - kontrola čísla DPH v systému VIES vedeném Evropskou komisí za účelem stanovení správné sazby daně - čl. 6 odst. 1 písm. c RODO.

8. Plnění povinností vyplývajících z právních předpisů (mj. daňových a účetních) - čl. 6 odst. 1 písm. c RODO.

9. Určení, výkon a obhajoba právních nároků - čl. 6 odst. 1 písm. f RODO.

§6. Profilování a automatizovaná rozhodnutí

1. Správce v současnosti neprovádí profilování Uživatelů pro marketingové účely. Správce plánuje zavedení takového profilování; jeho spuštění bude předcházet aktualizace těchto Zásad a bude možné výhradně po spuštění analytických nástrojů uvedených v §5 odst. 5, tj. po vyjádření souhlasu Uživatelem. Po spuštění se profilování bude zakládat na čl. 6 odst. 1 písm. f RODO (oprávněný zájem - marketing vlastních produktů), na údajích o aktivitě Uživatele na Portálu, a bude spočívat ve seskupování Uživatelů podle podobnosti preferencí za účelem prezentace personalizovaných nabídek. Profilování nebude mít pro Uživatele právní účinky ani se jej nebude obdobným způsobem významně dotýkat.

2. Správce nepřijímá vůči Uživateli výhradně automatizovaná rozhodnutí, která by pro něj měla právní účinky nebo se jej obdobným způsobem významně dotýkala (čl. 22 RODO), s výjimkou následujících postupů:

   a) Automatická pravidla detekce zneužití (čl. 22 odst. 2 písm. d RODO - pokud je použitelné):

   • při registraci Správce uplatňuje automatizované hodnocení rizik (e-mailová adresa, IP adresa - viz §5 odst. 3),
   • v případě vysokého skóre je registrace dočasně zamítnuta s vysvětlením důvodu,
   • Uživatel může obnovit registraci z jiné adresy/IP, vznést námitku nebo žádost o přezkum pracovníkem (viz §11 odst. 7) nebo kontaktovat Správce,
   • pracovník má skutečné oprávnění registraci schválit i přes vysoké skóre, a to na základě dodatečného ověření,
   • lhůta pro přezkum činí maximálně 5 pracovních dnů,
   • registrace není konečným právním rozhodnutím ve smyslu čl. 22 odst. 1 RODO, nýbrž dočasnou blokací, která může být změněna.

   b) Automatické AI odpovědi v hlášeních (§5 odst. 6):

   • automatická odpověď je návrhem pro pracovníka, a nikoli rozhodnutím zavazujícím subjekt údajů,
   • nevyvolává právní účinky; konečné rozhodnutí přijímá pracovník, nebo subjekt údajů požádá o ruční vyřízení,
   • nevyžaduje tedy záruky podle čl. 22 RODO jako výhradně automatizované rozhodnutí.

3. Uživateli náleží právo kdykoli vznést námitku proti zpracování údajů pro účely přímého marketingu, včetně profilování (čl. 21 odst. 2 RODO).

§7. Soubory cookies a podobné technologie

1. Portál využívá soubory cookies a podobné technologie (např. localStorage) pro účely:

   • technické - nezbytné pro fungování Portálu, udržení relace po přihlášení a zapamatování zvoleného jazyka,
   • bezpečnostní - Cloudflare Turnstile,
   • analytické - plánované nástroje, v současnosti nespuštěné (§5 odst. 5).

2. Rozlišují se soubory cookies relační (uchovávané do odhlášení nebo opuštění stránky) a trvalé (uchovávané do uplynutí doby jejich platnosti nebo do jejich odstranění Uživatelem).

3. Soubory cookies mohou pocházet od externích subjektů - v současnosti od Cloudflare Inc. (Turnstile), a po spuštění plánovaných nástrojů rovněž od Google LLC.

4. Právní základ pro koncové technologie: Právním základem pro ukládání a čtení informací v koncovém zařízení Uživatele (cookies, localStorage a podobné technologie) je čl. 399 odst. 1–3 ve spojení s čl. 400 Prawa komunikacji elektronicznej (PKE).

   Výjimka pro nezbytné technologie: Pro technologie nezbytně nutné k poskytnutí služby vyžádané Uživatelem (např. relace, přihlášení) nebo pro technické infrastrukturní operace (např. rozkládání zátěže) se nevyžaduje souhlas v souladu s čl. 399 odst. 3 PKE. Nezbytnost znamená, že Služba by bez této technologie nebyla možná a Uživatel o ni výslovně požádal. Každé použití technologie musí být odůvodněno konkrétním účelem a neexistencí přiměřené alternativy.

   Volitelné technologie (analytika, marketing, tracking) vyžadují předchozí platný souhlas v souladu s čl. 400 PKE. Souhlas je udělován prostřednictvím cookie lišty, která umožňuje správu jednotlivých kategorií bez nutnosti přijetí všech.

   Další zpracování osobních údajů načtených z cookies (např. identifikátor relace, IP, User-Agent) podléhá RODO:

   • čl. 6 odst. 1 písm. a RODO (souhlas) - pro analytické a marketingové cookies,
   • čl. 6 odst. 1 písm. b RODO (Smlouva) - pro cookies nezbytné k poskytování Služby,
   • čl. 6 odst. 1 písm. f RODO (oprávněný zájem) - pro bezpečnostní cookies (např. Turnstile).

5. Správa souhlasů s technologiemi: Uživatel může spravovat souhlasy pomocí:

   • a) Cookie lišty na storefrontu (mchost.pl) - dostupné při první návštěvě a trvale dostupné prostřednictvím menu,
   • b) Nastavení prohlížeče - pro kompatibilní cookies,
   • c) Odkazu „Nastavení soukromí“ v zápatí a navigaci (storefront a Panel) - umožňuje kdykoli znovu otevřít lištu bez nutnosti mazání cache nebo cookies.

   Cookie lišta obsahuje:

   • tlačítko „Odmítnout volitelné“ a „Přijmout vše“ se stejnou viditelností a vahou v rozhraní,
   • možnost individuálního označení každé kategorie (functional, analytics, marketing),
   • BEZ kategorie uncategorized (neklasifikované) - každá technologie musí mít stanovený účel.

   První vrstva má podobu neblokující lišty bez celoobrazovkového překrytí, blokování posouvání stránky či zachytávání fokusu. Zavření lišty tlačítkem × nepředstavuje souhlas a neukládá rozhodnutí; všechny volitelné technologie zůstávají vypnuté.

   Po výběru:

   • rozhodnutí je uloženo a uchováváno (není automaticky přepisováno),
   • Uživatel může rozhodnutí kdykoli změnit bez následků,
   • odvolání souhlasu okamžitě zastaví danou integraci a odstraní dostupný místní volitelný stav této kategorie.

   Propagační technologie a localStorage:

   • propagační klíče localStorage (discount_modal_closed_at, discount_modal_dismissal_count, discount_modal_converted) jsou čteny a ukládány výhradně po vyjádření marketingového souhlasu,
   • po odvolání souhlasu jsou tyto klíče z localStorage odstraněny,
   • funkce hasConsent() v kódu kontroluje konkrétní kategorii, a nikoli existenci libovolného rozhodnutí.

   Druhá vrstva (podrobný seznam):

   • odkaz z lišty směřuje přímo do sekce obsahující úplný registr cookies a localStorage (název, poskytovatel, účel, doba uchovávání), soupis plánovaných technologií a vysvětlení každé kategorie a jejího vlivu na funkčnost,
   • přislíbený seznam je vždy dostupný a aktuální.

   Klientský panel (manage.mchost.gg):

   • Panel používá výhradně cookies a technologie nezbytné pro autentizaci a bezpečnost,
   • Panel nezobrazuje možnosti pro volitelné kategorie (analytical, marketing), ledaže se Správce rozhodne tyto nástroje pro Panel aktivovat - v takovém případě budou Zásady aktualizovány.

   Vypnutí cookies nezbytných pro autentizaci nebo bezpečnost může ztížit nebo znemožnit využívání Portálu.

6. Kromě souborů cookies Správce uchovává autentizační token v místním úložišti prohlížeče (localStorage) Uživatele. Token je nezbytný pro udržení přihlášení v Klientském panelu a po odhlášení je odstraněn.

Přehled v současnosti používaných cookies a podobných technologií

Přehled plánovaných nástrojů (v současnosti nespuštěných)

Níže uvedené nástroje nejsou v současnosti využívány. K jejich spuštění dojde po aktualizaci těchto Zásad a - v rozsahu vyžadujícím souhlas - po jeho vyjádření Uživatelem v cookie liště.

§8. Doba uchovávání údajů

1. Doba uchovávání údajů závisí na účelu zpracování, právním základu, kategorii údajů a požadavcích práva.

2. Obecné pravidlo: Údaje jsou uchovávány po dobu nezbytnou k realizaci deklarovaného účelu a následně jsou vymazány nebo anonymizovány, ledaže:

   • právo vyžaduje další uchovávání (retenci) (pro daňové, účetní, soudní účely),
   • Správce má pro uchovávání (retenci) samostatný oprávněný účel,
   • Správce obdržel žádost „legal hold“ od orgánu nebo soudu (tehdy uchovávání trvá do zániku důvodu).

3. Konkrétní doby uchovávání údajů:

1. Pravidla promlčení a daňové povinnosti:

   • právo promlčení: čl. 118 KC - konec kalendářního roku (není-li lhůta kratší než 2 roky),
   • daně: čl. 70 § 1 zákona Ordynacja podatkowa - 5 let od konce roku, ve kterém uplynula lhůta splatnosti,
   • účetnictví: čl. 74 zákona o účetnictví (ustawa o rachunkowości) - různé kategorie dokumentů, podrobná pravidla podle typu,
   • legal hold: pokud Správce obdrží žádost orgánu (policie, státní zastupitelství, soud), uchovávání (retence) se obnovuje a prodlužuje,
   • bezpečnost: výsledky bezpečnostních auditů a incidentů by měly být uchovávány po dobu 3 let.

2. Postup zavádění retence:

   • Správce udržuje schválenou matici retence pro každou tabulku a pole,
   • harmonogram mazání je zaváděn a testován (minimálně 2krát ročně),
   • každé spuštění úlohy retence je zaznamenáno (datum, počet vymazaných záznamů, chyby),
   • upozornění (alert) informuje o každé chybě nebo neprovedení spuštění,
   • Správce shromažďuje důkazy o spuštěních a uchovává je pro účely auditu.

3. Pseudonymizace IP adres v lozích: Po 90 dnech je IP adresa v lozích zkracována na prefix /24 (IPv4) nebo /64 (IPv6). Tato operace představuje pseudonymizaci (snížení přesnosti), a nikoli anonymizaci. Logy zůstávají osobními údaji podléhajícími RODO a vztahují se na ně plné povinnosti vyplývající z nařízení.

   Logy i nadále obsahují identifikátor uživatele (user_uuid), typ akce (action type), popis akce a hodnoty změn, User-Agent a čas události (což umožňuje propojení s jinými záznamy), a tudíž zůstávají osobními údaji v souladu s čl. 4 bod 1 RODO. Správce na tyto logy i nadále uplatňuje plná zabezpečení RODO: přístup omezený na oprávněné pracovníky, uchovávání chráněné před neoprávněným přístupem, povinnost výmazu po uplynutí doby retence, podporu práv subjektů údajů (přístup, oprava, výmaz) a hlášení porušení.

4. Po uplynutí výše uvedených dob jsou údaje vymazány nebo pseudonymizovány, pokud další zpracování není odůvodněno právní povinností.

§9. Příjemci údajů a předávání mimo EHP

1. Osobní údaje mohou být předávány následujícím kategoriím příjemců:

   Poskytovatelé platebních služeb:

   • DPay - za účelem zpracování plateb jsou předávány: e-mailová adresa, IP adresa, informace o prohlížeči (User-Agent) a částka a identifikátor transakce,
   • CashBill S.A. - za účelem zpracování plateb jsou předávány: částka, měna a identifikátor transakce (bez e-mailové adresy Uživatele).

   Bezpečnost a předcházení zneužití:

   • AbuseHub - e-mailová adresa a IP adresa předávané při zakládání Účtu klienta za účelem hodnocení rizika zneužití (čl. 6 odst. 1 písm. f RODO),
   • Cloudflare Inc. - obsluha DNS, ochrana před útoky a ověřování provozu (Cloudflare Turnstile).

   Obsluha Služeb a hlášení:

   • Externí mikroslužba založená na umělé inteligenci:
     • Identifikace a role: DigitalOcean, LLC, právnická osoba registrovaná ve Spojených státech amerických (USA), plnící roli Zpracovatele (zpracovatelského subjektu) na základě čl. 28 RODO,
     • Předávané údaje: identifikátor (ID) hlášení, název hlášení, kategorie, obsah všech veřejných zpráv uživatele (neinterních), volitelný technický log (do 50 000 znaků), identifikátory uživatele a organizace, jazyk hlášení,
     • Účel: vygenerování návrhu odpovědi podporované AI, která může být automaticky zveřejněna (pokud splňuje práh confidence), vyžadovat schválení pracovníkem nebo sloužit jako návrh pro člověka,
     • Retence u poskytovatele: údaje mohou být uchovávány po dobu až 6 měsíců pro účely obsluhy a zlepšování; Správce disponuje oprávněním požadovat výmaz údajů u poskytovatele,
     • Podzpracovatelé: poskytovatel může využívat zprostředkované cloudové služby (např. Azure, AWS, GCP); aktuální seznam je dostupný na vyžádání na adrese [email protected],
     • Trénování modelu: poskytovatel nesmí využívat předané obsahové údaje k trénování nebo zdokonalování svých modelů AI; Správce vyžaduje smlouvu výslovně zakazující trénování bez samostatného písemného souhlasu,
     • Označení v rozhraní: každá automaticky vygenerovaná odpověď v hlášení je označena jako „Asistent AI“ a obsahuje upozornění (disclaimer): „Tato odpověď byla vygenerována umělou inteligencí a může obsahovat nepřesnosti. Pracovník ji před konečným schválením kontroluje.“,
     • Možnost obsluhy výhradně člověkem: Uživatel může do hlášení napsat: „Prosím o obsluhu člověkem“ (nebo označit příslušnou možnost v rozhraní) nebo se obrátit na [email protected]; po takové žádosti budou všechny následující odpovědi pro toto hlášení připravovány výhradně pracovníkem (lhůta pro převzetí člověkem: maximálně 72 hodin od žádosti).
   • poskytovatel panelu pro správu herních serverů - identifikátory Služeb, konfigurační parametry a soubory umístěné Klientem na herním serveru,
   • poskytovatel služby elektronické pošty - e-mailová adresa a obsah zpráv zasílaných Uživateli,
   • Amazon Web Services (AWS S3) - uchovávání souborů, včetně souborů vygenerovaných v rámci realizace žádosti o přístup k údajům.

   Veřejnoprávní povinnosti:

   • Evropská komise (systém VIES) - kód země a číslo DPH (VAT), za účelem ověření čísla DIČ EU (VAT UE).

   Externí přihlášení (výhradně v případě volby této metody Uživatelem):

   • Google LLC, Discord Inc., Microsoft Corporation - v rozsahu nezbytném pro autentizaci Uživatele.

   Plánovaní příjemci:

   • Google LLC (Google Analytics) - výhradně po spuštění analytických nástrojů uvedených v §5 odst. 5.

   Kromě toho mohou být údaje předávány poskytovatelům IT a hostingových služeb, právním a účetním poradcům a - na základě právních předpisů - oprávněným orgánům veřejné moci.

2. Místo uchovávání a předávání: Zpravidla jsou údaje uchovávány na serverech na území Evropského hospodářského prostoru (EHP). Někteří poskytovatelé služeb (zejména poskytovatelé bezpečnosti např. Cloudflare, poskytovatelé autentizace OAuth - Google, Microsoft, Discord, poskytovatelé analytiky - po spuštění Google Analytics, poskytovatelé storage - AWS S3) však mohou údaje zpracovávat rovněž ve Spojených státech nebo v jiných zemích mimo EHP.

   Správce udržuje aktuální registr předávání obsahující pro každého poskytovatele: právnickou osobu dovozce (např. „Google LLC“, nikoli „Google“), země zpracování (např. USA, Singapore), typ předávání (DPF, SCC, čl. 49 RODO), kategorii údajů a datum posledního ověření.

3. Mechanismy předávání: Předávání údajů mimo EHP probíhá při zajištění vhodných záruk, zejména:

   • a) Data Privacy Framework (DPF) - čl. 45 RODO: u poskytovatelů certifikovaných v rámci EU-US Data Privacy Framework (prováděcí rozhodnutí Komise (EU) 2023/1795 ze dne 10. července 2023) Správce ověřuje, zda je dovozce uveden v úředním seznamu Ministerstva obchodu USA, je aktivně certifikován a zda certifikace zahrnuje danou kategorii údajů; samotná značka poskytovatele DPF neprokazuje - ověření probíhá podle právnické osoby dovozce,
   • b) Standardní smluvní doložky (SCC) - čl. 46 RODO: pro ostatní předávání mimo EHP Správce uzavírá standardní smluvní doložky schválené Evropskou komisí, provádí posouzení doložky 14 (posouzení dopadu předávání - TIA) v souladu s Doporučeními 01/2020 EROD, dokumentuje stav práva třetí země a zavádí doplňková opatření (např. šifrování, regionalizaci),
   • c) Čl. 49 RODO - předávání pro výjimečné účely: pouze ve výjimečných případech (např. okamžitá ochrana osoby, veřejný zájem) může Správce použít čl. 49 RODO bez DPF či SCC - avšak výhradně na omezenou dobu.

4. Přístup k dokumentům: Uživatel může získat kopii SCC používaných pro konkrétní předávání (upravenou v rozsahu obchodního tajemství), seznam podzpracovatelů a posouzení dopadu předávání (TIA) zasláním žádosti na adresu: [email protected].

5. Všechny subjekty zpracovávající údaje z pověření Správce jsou povinny zajistit odpovídající úroveň ochrany údajů a zpracovávají je výhradně na základě smluv o pověření zpracováním v souladu s čl. 28 RODO.

§10. Souhlas se zpracováním údajů

1. V některých případech probíhá zpracování na základě souhlasu (např. marketingové účely nebo jiné než nezbytné soubory cookies). Souhlas je udělován jednoznačným projevem vůle Uživatele (např. zaškrtnutím políčka, přijetím cookie lišty).

2. Uživatel má právo kdykoli odvolat souhlas, aniž by tím byla dotčena zákonnost zpracování provedeného před jeho odvoláním. Odvolání souhlasu probíhá kontaktováním Správce (§14) nebo změnou nastavení souhlasů s cookies.

3. Využívání Portálu je možné i bez vyjádření souhlasu s volitelnými účely (marketingovými, analytickými), které nejsou nezbytné pro poskytování základních Služeb.

Požadavky na získávání a uchovávání souhlasu

1. Pro každý souhlas s přímým marketingem Správce zaznamenává a uchovává nejméně:

   • a) identifikátor a e-mailovou adresu Uživatele,
   • b) účel - konkrétní kategorii (marketing, aktualizace produktu apod.),
   • c) okamžik události - datum a čas UTC,
   • d) nový stav příznaku (false → true, nebo true → false),
   • e) předchozí stav příznaku,
   • f) verzi nebo hash textu sdělení o účelu, které bylo Uživateli zobrazeno,
   • g) rozhraní/kanál - kde byl vyjádřen (registrační formulář, formulář preferencí v Panelu, e-mailový banner apod.),
   • h) v případě odvolání - čas a kanál odvolání.

2. Aktuální stav příznaku (true/false) nestačí jako důkaz souhlasu pro účely auditu. Důkaz musí obsahovat událost změny s historií změny stavu.

3. Správce se jako na důkaz souhlasu nespoléhá na výchozí hodnotu příznaku. Všechny volitelné příznaky (email_marketing, email_product_updates, pokud jsou volitelné) mají ve výchozím nastavení hodnotu false.

4. IP adresa a User-Agent mohou být zaznamenávány jako prvky doplňující důkaz, nepředstavují však povinné náležitosti.

§11. Práva Uživatelů

Uživateli náležejí následující práva:

1. Právo na přístup k údajům (čl. 15 RODO).

2. Právo na opravu údajů (čl. 16 RODO).

3. Právo na výmaz údajů - „právo být zapomenut“ (čl. 17 RODO).

4. Právo na omezení zpracování (čl. 18 RODO).

5. Právo na přenositelnost údajů (čl. 20 RODO).

6. Právo vznést námitku proti zpracování (čl. 21 RODO).

7. Právo vznést námitku proti zpracování pro účely kontroly zneužití - čl. 21 odst. 1 RODO. Uživatel může kdykoli vznést námitku proti zpracování své e-mailové adresy a IP adresy pro účely hodnocení rizika zneužití zasláním příslušného prohlášení na adresu [email protected]. V námitce může Uživatel vysvětlit svou konkrétní situaci (např. cestování, změna poskytovatele VPN). Správce námitku posoudí ve lhůtě do 5 pracovních dnů a vyhodnotí, zda oprávněné zájmy Správce nadále převažují, nebo zda situace Uživatele odůvodňuje úpravu výsledku hodnocení.

8. Právo kdykoli odvolat souhlas, aniž by tím byla dotčena zákonnost dřívějšího zpracování.

9. Právo podat stížnost u dozorového úřadu - Prezesa Urzędu Ochrony Danych Osobowych (§15).

Zvláštní pravidla pro vyřizování žádostí

1. Správce vyřizuje žádosti bez zbytečného odkladu, nejpozději ve lhůtě jednoho měsíce od jejich obdržení; v případě potřeby může být tato lhůta s ohledem na složitost žádosti prodloužena o další dva měsíce (čl. 12 odst. 3 RODO). Realizace práv je zpravidla bezplatná.

2. Export údajů: Realizace práva na přístup k údajům a práva na přenositelnost údajů probíhá v Klientském panelu vygenerováním souboru s údaji. S ohledem na vytížení systémů Správce může Uživatel tuto funkci využít nejvýše jednou za 30 dnů. Toto omezení představuje opatření proti nepřiměřeným žádostem ve smyslu čl. 12 odst. 5 RODO a nevylučuje právo podat žádost jiným způsobem na adresu [email protected]. Vygenerovaný soubor je dostupný po dobu 30 dnů (§8 odst. 3).

3. Žádost o výmaz údajů: Žádost o výmaz údajů podléhá posouzení Správce z hlediska podmínek podle čl. 17 odst. 3 RODO. Správce žádost posoudí ve výše uvedené lhůtě a informuje Uživatele o způsobu jejího vyřízení; v případě zamítnutí - spolu s odůvodněním a poučením o právu podat stížnost u dozorového úřadu. Výmazu nepodléhají údaje, jejichž další uchovávání je nezbytné pro splnění právních povinností Správce (zejména údaje o objednávkách a platbách - §8 odst. 3) nebo pro určení, výkon nebo obhajobu právních nároků. Odstranění Účtu klienta nemá za následek výmaz těchto údajů; ty jsou omezeny na nezbytný rozsah a uchovávány do uplynutí příslušných lhůt.

§12. Požadavek na poskytnutí údajů

1. Poskytnutí osobních údajů je dobrovolné, avšak v rozsahu nezbytném pro uzavření a plnění smlouvy představuje smluvní požadavek - jejich neposkytnutí znemožňuje poskytování Služby. Poskytnutí údajů pro daňové a účetní účely je zákonným požadavkem. Poskytnutí údajů pro marketingové a analytické účely je zcela dobrovolné.

§13. Bezpečnost osobních údajů a porušení zabezpečení údajů

1. Správce uplatňuje vhodná technická a organizační bezpečnostní opatření (čl. 32 RODO) v závislosti na riziku a rozsahu zpracování.

   Aplikační vrstva a přístup:

   • šifrování přenosu: TLS 1.2+ pro všechna spojení obsahující osobní údaje,
   • řízení přístupu: RBAC (role-based access control), každý pracovník má oprávněnou roli,
   • dvoufaktorová autentizace (2FA): vyžadována pro každý administrátorský přístup k osobním údajům Uživatelů,
   • limity požadavků a ochrana před útoky CSRF, XSS, brute-force,
   • pravidelné záložní kopie (minimálně jednou denně).

   Registr přístupu personálu: Správce vede registr přístupu personálu k osobním údajům zahrnující všechny administrátorské operace zpřístupňující osobní údaje (zobrazení, úprava, export, výmaz). Každý záznam eviduje: identifikátor a jméno pracovníka, čas operace (datum, čas UTC), typ operace, zdroj (prostředek), zdrojovou IP adresu, výsledek a počet záznamů. Záznamy jsou neměnné (append-only) a uchovávané v odděleném, zabezpečeném úložišti.

   Redakce logů: Správce uplatňuje redakci (maskování) citlivých údajů v aplikačních lozích na všech kanálech: hesla, přístupové tokeny, tajné klíče (secrets) a autentizační údaje nejsou nikdy logovány; čísla karet a biometrické údaje podléhají redakci.

   Ostatní technická opatření:

   • Content Security Policy (CSP) pro Panel klienta,
   • atribut Secure pro cookies vynucený v produkčním prostředí,
   • automatické odstraňování exspirovaných přístupových tokenů (Sanctum),
   • testy obnovy ze záložních kopií (minimálně 2krát ročně, s protokolem o testu),
   • potvrzení správného fungování 2FA pro všechny administrátorské operace.

2. Infrastruktura (potvrzená smlouvou a compliance reportem): Správce zaručuje, že infrastruktura, na které jsou údaje uchovávány (servery, storage, databáze), splňuje: šifrování uložených dat (v klidu) (AES-256 nebo rovnocenné), firewall a WAF, IDS/IPS pro detekci anomálií, ochranu anti-DDoS, nepřetržitý monitoring (24/7), každoroční penetrační testy, Incident Response Plan a certifikaci compliance poskytovatele (SOC 2 Type II, ISO 27001 nebo rovnocennou). Technické dokumenty jsou Uživateli zpřístupněny na vyžádání (upravené v rozsahu obchodního tajemství).

3. V případě porušení zabezpečení osobních údajů, které může představovat riziko pro práva nebo svobody fyzických osob, Správce ohlásí porušení Prezesu Urzędu Ochrony Danych Osobowych ve lhůtě 72 hodin od okamžiku, kdy se o něm dozvěděl (čl. 33 RODO).

4. V případě vysokého rizika pro práva nebo svobody subjektů údajů Správce bez zbytečného odkladu informuje rovněž tyto osoby (čl. 34 RODO).

5. Správce vede interní evidenci porušení zabezpečení osobních údajů bez ohledu na ohlašovací povinnost.

§14. Kontakt se Správcem

1. Dotazy týkající se zpracování údajů a uplatňování práv lze směřovat na e-mailovou adresu: [email protected] nebo písemně na adresu sídla Společnosti: al. Jana Pawła II 43A/37B, 01-001 Warszawa.

§15. Stížnosti u dozorového úřadu

1. Pokud se Uživatel domnívá, že zpracování jeho údajů porušuje ustanovení RODO nebo jiné předpisy o ochraně údajů, má právo podat stížnost u dozorového úřadu - Prezesa Urzędu Ochrony Danych Osobowych, ul. Stawki 2, 00-193 Warszawa (https://uodo.gov.pl).

§16. Změny Zásad ochrany soukromí

1. Tyto Zásady ochrany soukromí mohou být změněny. Aktuální verze je vždy dostupná na Portálu. O podstatných změnách Správce informuje Uživatele e-mailem na adresu přiřazenou k Účtu klienta a prostřednictvím oznámení na Portálu s nejméně 14denním předstihem.